Barracuda Networks ha annunciato la necessità di sostituire fisicamente i dispositivi ESG (Email Security Gateway) colpiti da malware a causa di una vulnerabilità 0-day nel modulo di elaborazione degli allegati alle email. Si riporta che i precedenti aggiornamenti non siano sufficienti per bloccare il problema. Non vengono forniti dettagli, ma si presume che la decisione di sostituire l'hardware sia stata presa a causa di un attacco che ha portato all'installazione di malware a basso livello, rendendo impossibile la rimozione tramite un aggiornamento del firmware o un ripristino alle impostazioni di fabbrica. L'hardware sarà sostituito gratuitamente, non si specifica nulla riguardo il rimborso dei costi di spedizione e delle operazioni di sostituzione.
ESG è una soluzione hardware-software che protegge la posta elettronica aziendale da attacchi, spam e virus. Il 18 maggio è stato registrato un traffico anomalo proveniente dai dispositivi ESG, che si è rivelato associato a un'attività dannosa. L'analisi ha mostrato che i dispositivi erano stati compromessi tramite una vulnerabilità non corretta (0-day) (CVE-2023-28681), che consente di eseguire codice inviando un'email appositamente formattata. Il problema è stato causato dalla mancanza di un'adeguata verifica dei nomi dei file all'interno degli archivi tar inviati come allegati, consentendo l'esecuzione di comandi arbitrari nel sistema con privilegi elevati e bypassando l'escaping durante l'esecuzione del codice tramite l'operatore Perl 'qx'.
La vulnerabilità è presente nei dispositivi ESG (appliance) forniti separatamente con firmware dalle versioni 5.1.3.001 a 9.2.0.006 inclusi. I fatti legati all'approfittamento della vulnerabilità sono stati registrati fin da ottobre 2022, e fino a maggio 2023 il problema è rimasto inosservato. Gli attaccanti hanno utilizzato questa vulnerabilità per installare diversi tipi di malware sui gateway — SALTWATER, SEASPY e SEASIDE — che forniscono accesso esterno al dispositivo (backdoor) e vengono impiegati per intercettare dati riservati.
La backdoor SALTWATER era implementata come modulo mod_udp.so nel processo SMTP bsmtpd e consentiva di caricare ed eseguire file arbitrari nel sistema, oltre a fare da proxy per le richieste e tunnelizzare il traffico verso l'esterno. un server. Per ottenere il controllo nella backdoor venivano intercettate le chiamate di sistema send, recv e close.
Il componente malevolo SEASIDE era scritto in Lua, installato come modulo mod_require_helo.lua per il server SMTP e si occupava di monitorare i comandi HELO/EHLO in entrata, identificare le richieste dal controllore server e determinare i parametri di avvio per una shell inversa.
SEASPY era un file eseguibile di BarracudaMailService, installato come servizio di sistema. Il servizio utilizzava un filtro basato su PCAP per monitorare il traffico sulle porte di rete 25 (SMTP) e 587 e attivava un backdoor al rilevamento di un pacchetto con una sequenza speciale.
Il 20 maggio, Barracuda ha rilasciato un aggiornamento per correggere la vulnerabilità, che è stato distribuito a tutti i dispositivi il 21 maggio. L'8 giugno è stato annunciato che l'aggiornamento non era sufficiente e gli utenti dovevano sostituire fisicamente i dispositivi compromessi. Gli utenti sono anche consigliati di cambiare tutte le chiavi di accesso e credenziali che erano collegate a Barracuda ESG, ad esempio, in LDAP/AD e Barracuda Cloud Control. Secondo dati preliminari, ci sono circa 11.000 dispositivi ESG attivi che utilizzano il servizio Barracuda Networks Spam Firewall smtpd, applicato nell'Email Security Gateway.
Fonte: opennet.ru
